Web Application Security, 2. Auflage

Kapitel 11. Cross-Site Request Forgery

Diese Arbeit wurde mithilfe von KI übersetzt. Wir freuen uns über dein Feedback und deine Kommentare: [e-mail]

Manchmal wissen wir bereits, dass es einen API-Endpunkt gibt, der es uns ermöglichen würde, einen gewünschten Vorgang auszuführen, aber wir haben keinen Zugriff auf diesen Endpunkt, weil er einen privilegierten Zugang erfordert (z. B. ein Admin-Konto). In diesem Kapitel werden wir CSRF-Exploits (Cross-Site Request Forgery) erstellen, die dazu führen, dass ein Admin- oder privilegiertes Konto einen Vorgang in unserem Namen ausführt, anstatt einen JavaScript-Codeausschnitt zu verwenden.

CSRF-Angriffe nutzen die Funktionsweise von Browsern und das Vertrauensverhältnis zwischen einer Website und dem Browser aus. Indem wir API-Aufrufe finden, die sich auf diese Beziehung verlassen, um die Sicherheit zu gewährleisten, aber dem Browser zu viel Vertrauen schenken, können wir Links und Formulare erstellen, die mit ein wenig Aufwand dazu führen, dass ein Nutzer in seinem eigenen Namen Anfragen stellt - ohne dass der Nutzer, der die Anfrage stellt, davon weiß.

Oftmals bleiben CSRF-Angriffe für den angegriffenen Nutzer unbemerkt, da die Anfragen im Browser im Hintergrund ablaufen. Das bedeutet, dass diese Art von Angriff genutzt werden kann, um einen privilegierten Benutzer auszunutzen und Operationen gegen einen Server durchzuführen, ohne dass der Benutzer es je merkt. Es ist einer der heimlichsten Angriffe und hat seit ...